Regulation (EU) 2016/679 (GDPR)
Checkliste zur DSGVO-Konformität
Praktische Prüfpunkte zu den zentralen Pflichten der Verordnung (EU) 2016/679 für Verantwortliche und Auftragsverarbeiter. Damit lassen sich Lücken vor einem Audit, einer Kundenprüfung oder einer Anfrage der Aufsichtsbehörde erkennen.
1. Grundsätze und Rechtmäßigkeit
Jede Verarbeitungstätigkeit auf Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit prüfen.
Art. 5(1)Speicherfristen je Datenkategorie festlegen und Daten löschen oder anonymisieren, sobald der Zweck erfüllt ist.
Richtlinien sowie technische und organisatorische Maßnahmen dokumentieren, um die Einhaltung nachweisen zu können.
Art. 5(2), Art. 24Die Nachweispflicht liegt beim Verantwortlichen. Richtlinien, Entscheidungen und Überprüfungen in einer Form aufbewahren, die einer Behörde vorgelegt werden kann.
Für jeden Verarbeitungszweck eine Rechtsgrundlage nach Art. 6 Abs. 1 bestimmen und dokumentieren.
Art. 6Bei Berufung auf berechtigte Interessen die Interessenabwägung gegenüber den Interessen und Rechten der betroffenen Person dokumentieren.
Bei Einwilligung sicherstellen, dass sie freiwillig, bestimmt, informiert, unmissverständlich, nachweisbar und so leicht widerrufbar wie erteilt ist.
Art. 4(11), Art. 7Speichern, wer wann zu welchem Wortlaut und auf welchem Weg eingewilligt hat. Bereits angekreuzte Kästchen sind keine Einwilligung (Erwägungsgrund 32).
Bei Diensten der Informationsgesellschaft, die Kindern direkt angeboten werden, unterhalb der nationalen Altersgrenze die elterliche Einwilligung prüfen.
Art. 8Die Grundaltersgrenze liegt bei 16 Jahren, Mitgliedstaaten können sie auf bis zu 13 Jahre senken. Angemessene Anstrengungen zur Überprüfung der Einwilligung unternehmen.
Besondere Kategorien personenbezogener Daten wie Gesundheits-, biometrische oder religiöse Daten erkennen und die Ausnahme nach Art. 9 Abs. 2 dokumentieren.
Art. 9Die Verarbeitung dieser Kategorien ist untersagt, sofern keine Ausnahme greift, und benötigt zusätzlich eine Rechtsgrundlage nach Art. 6.
2. Transparenz und Betroffenenrechte
Eine präzise, leicht verständliche Datenschutzerklärung mit allen nach Art. 13 und Art. 14 erforderlichen Informationen bereitstellen.
Art. 12-14Angaben zu Verantwortlichem, Zwecken, Rechtsgrundlagen, Empfängern, Übermittlungen, Speicherdauer und Rechten aufnehmen. Bei Dritterhebung Art. 14 beachten.
Einen Prozess für Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch einrichten.
Art. 15-22Zuständigkeit festlegen, die Identität der antragstellenden Person prüfen und sicherstellen, dass ihre Daten in allen Systemen auffindbar sind.
Anträge betroffener Personen innerhalb eines Monats beantworten und nur begründet um höchstens zwei weitere Monate verlängern.
Art. 12(3)Eine Verlängerung ist bei komplexen oder zahlreichen Anträgen möglich. Die Person ist innerhalb des ersten Monats unter Angabe der Gründe zu informieren.
Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung erkennen und ein Eingreifen einer Person ermöglichen.
Art. 22Solche Entscheidungen sind nur unter den Ausnahmen des Art. 22 Abs. 2 zulässig. Bei Vertrag und ausdrücklicher Einwilligung verlangt Art. 22 Abs. 3 mindestens das Eingreifen einer Person, die Darlegung des eigenen Standpunkts und die Anfechtung der Entscheidung.
3. Governance und Dokumentation
Ein Verzeichnis von Verarbeitungstätigkeiten führen, als Verantwortlicher und gegebenenfalls als Auftragsverarbeiter.
Art. 30Zwecke, Daten- und Personenkategorien, Empfänger, Übermittlungen, Löschfristen und Sicherheitsmaßnahmen erfassen. Schriftlich führen, auch elektronisch.
Bei Berufung auf die Ausnahme für weniger als 250 Beschäftigte prüfen, dass keine der Rückausnahmen greift.
Art. 30(5)Die Ausnahme gilt nicht, wenn die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien bzw. strafrechtliche Daten umfasst.
Prüfen und dokumentieren, ob ein Datenschutzbeauftragter benannt werden muss.
Art. 37Pflicht für Behörden sowie bei Kerntätigkeiten mit umfangreicher regelmäßiger Überwachung oder umfangreicher Verarbeitung besonderer Kategorien. Nationales Recht kann weitere Fälle vorsehen.
Kontaktdaten des Datenschutzbeauftragten veröffentlichen, der Aufsichtsbehörde mitteilen und Unabhängigkeit sowie Ressourcen sicherstellen.
Art. 37(7), Art. 38-39Der Datenschutzbeauftragte ist bei der Erfüllung seiner Aufgaben weisungsfrei, berichtet der höchsten Managementebene und darf keine Interessenkonflikte haben.
Bei Sitz außerhalb der EU und Anwendbarkeit nach Art. 3 Abs. 2 schriftlich einen Vertreter in der Union benennen.
Art. 27Der Vertreter muss in einem Mitgliedstaat niedergelassen sein, in dem sich betroffene Personen befinden. Ausnahmen nach Art. 27 Abs. 2 gelten für Behörden und für gelegentliche Verarbeitung ohne voraussichtliches Risiko und ohne umfangreiche Verarbeitung besonderer Kategorien oder strafrechtlicher Daten.
4. Datenschutz durch Technikgestaltung, Auftragsverarbeiter und Sicherheit
Datenschutz in Systeme einbauen und Voreinstellungen so wählen, dass nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden.
Art. 25Beispiele sind Pseudonymisierung, minimale Formularfelder, eingeschränkte Sichtbarkeit und kurze Standard-Speicherdauer.
Nur Auftragsverarbeiter mit hinreichenden Garantien einsetzen und einen Auftragsverarbeitungsvertrag mit allen Inhalten nach Art. 28 Abs. 3 schließen.
Art. 28Der Vertrag regelt dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Genehmigung von Unterauftragsverarbeitern, Unterstützung, Löschung oder Rückgabe und Überprüfungen.
Dem Risiko angemessene Sicherheitsmaßnahmen umsetzen, etwa Verschlüsselung, Zugriffskontrolle, Datensicherung und Wiederherstellung.
Art. 32Dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sicherstellen und die Maßnahmen regelmäßig überprüfen und bewerten.
5. Datenschutzverletzungen und Risikobewertung
Betroffene Personen unverzüglich benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für sie zur Folge hat.
Art. 34Klare Sprache verwenden und wahrscheinliche Folgen sowie ergriffene Maßnahmen beschreiben. Ausnahmen gelten etwa bei verschlüsselten Daten.
Vor einer Verarbeitung mit voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführen.
Art. 35Nach Art. 35 Abs. 3 ist sie erforderlich bei systematischer und umfassender automatisierter Bewertung einschließlich Profiling als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung, bei umfangreicher Verarbeitung besonderer Kategorien oder strafrechtlicher Daten und bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche. Zusätzlich die Liste der Aufsichtsbehörde nach Art. 35 Abs. 4 prüfen.
Vor der Verarbeitung die Aufsichtsbehörde konsultieren, wenn die Datenschutz-Folgenabschätzung ein hohes Risiko ergibt, sofern keine Maßnahmen zur Eindämmung getroffen werden.
Art. 36Die Folgenabschätzung sowie Angaben zu Zuständigkeiten, Zwecken und Garantien übermitteln. Die Behörde erteilt binnen höchstens acht Wochen schriftliche Empfehlungen, verlängerbar um sechs Wochen.
6. Internationale Übermittlungen und Sanktionen
Jede Übermittlung personenbezogener Daten in Drittländer erfassen, auch über Auftragsverarbeiter und Unterauftragsverarbeiter.
Art. 44Jede Übermittlung benötigt eine Grundlage nach Kapitel V. Nach den EDSA-Leitlinien 05/2021 kann auch ein Fernzugriff eines anderen Verantwortlichen oder Auftragsverarbeiters aus einem Drittland auf in der EU gespeicherte Daten eine Übermittlung sein.
Bei Angemessenheitsbeschlüssen prüfen, ob das Zielland erfasst ist, und für die USA, ob der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist.
Art. 45Die Kommission hat den Angemessenheitsbeschluss zum Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795, am 10. Juli 2023 erlassen. Er gilt nur für US-Organisationen auf der Data-Privacy-Framework-Liste.
Ohne Angemessenheitsbeschluss die von der Kommission erlassenen Standarddatenschutzklauseln abschließen und eine Transfer-Folgenabschätzung dokumentieren (Begriff aus der Praxis, nicht aus der Verordnung).
Art. 46(2)(c)Gemäß EDSA-Empfehlungen 01/2020 prüfen, ob das Recht des Ziellands die Klauseln unterläuft, und bei Bedarf ergänzende Maßnahmen wie Verschlüsselung ergreifen.
Für konzerninterne Übermittlungen genehmigte verbindliche interne Datenschutzvorschriften nutzen und Ausnahmen nach Art. 49 auf bestimmte Einzelfälle beschränken.
Art. 47, Art. 49Verbindliche interne Datenschutzvorschriften müssen von der zuständigen Aufsichtsbehörde genehmigt werden. Der EDSA legt Ausnahmen wie die ausdrückliche Einwilligung eng aus, sie tragen keine regelmäßigen Übermittlungen (Leitlinien 2/2018).
Die Geschäftsleitung über mögliche Geldbußen von bis zu 20 Mio. EUR oder, bei Unternehmen, 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist, informieren.
Art. 83Art. 83 Abs. 5 erfasst Art. 5, 6, 7 und 9, die Rechte nach Art. 12 bis 22 und Übermittlungen nach Art. 44 bis 49. Art. 83 Abs. 4 stellt Art. 8, 11, 25 bis 39, 42 und 43 unter die Stufe von 10 Mio. EUR oder 2 %.
Diese Checklisten fassen die offiziellen Texte für Ihre Planung zusammen. Sie sind keine Rechtsberatung, und nationale Gesetze oder Leitlinien können weitere Anforderungen enthalten. Prüfen Sie den offiziellen Text, bevor Sie sich auf einen Punkt verlassen.
Alle ChecklistenPassende Leistung: Umsetzung der DSGVO-Compliance
Sollen wir uns Ihre Lücken ansehen?
Wir führen Gap-Analysen zu diesen Regelwerken durch und helfen, die Lücken zu schließen.